정보보호 101개 준수항목 중 실제 공격 대응은 10개 미만 "웹 패킷 실시간 전수 분석·AI 대응체계 서둘러야"
최근 금융권을 겨냥한 해킹 공격이 잇따르는 가운데, 기존 금융권 보안 체계가 실제 사이버 공격을 막는 데 한계가 있다는 지적이 나왔다. AI(인공지능)를 활용한 공격은 이미 수개월 전부터 예견됐지만 금융당국과 금융회사들의 대응이 이를 따라가지 못했다는 분석이다.
신승민 큐비트시큐리티 대표는 머니투데이방송(MTN) 유튜브 '경제야놀자'에 출연해 "이런 공격은 이미 지난 4월 이후 출현할 것으로 알고 있었다"며 "지난 5~6개월 동안 무엇을 했는지 다시 생각해봐야 한다"고 지적했다. 공격에 대비했다면 최근과 같이 금융회사들이 속수무책으로 당하지 않았을 것이란 설명이다.
신승민 대표는 금융회사들이 막대한 보안 예산을 투입하고 있지만 실제 공격 탐지와 차단에 예산이 효과적으로 배분되고 있는지는 따져봐야 한다고 강조했다. 현행 정보보호 및 개인정보보호 관리체계(ISMS-P)의 101개 준수 항목 가운데 실제 사이버 공격 대응과 직접적으로 연관된 항목은 10개도 되지 않다는 주장이다.
특히 이번과 같은 AI 기반 웹 공격을 직접 탐지·차단할 수 있는 항목은 사실상 웹 방화벽 하나뿐이라는 지적하며 AI를 활용한 웹 공격에 대응하기 위한 웹 패킷 실시간 전수 분석은 현행 ISMS-P 101개 항목에도 명시돼 있지 않다고 말했다. 웹방화벽이 뚫릴 가능성을 전제로 웹을 통해 오가는 데이터를 실시간으로 수집·분석해야 하지만, 현재 금융권에서는 이 같은 체계가 제대로 갖춰져 있지 않다는 설명이다.
신 대표는 "기존에 고민했던 방식과 접근 방식은 실패했다"며 금융당국의 보안정책도 전면적인 전환이 필요하다고 강조했다. 기존처럼 보안 관리 항목을 늘리는 방식에서 벗어나 실제 공격을 탐지·차단하는 데 정책과 예산을 집중하고, 웹 패킷을 실시간으로 분석해 AI가 이상 징후를 탐지하는 체계를 서둘러 갖춰야 한다고 덧붙였다.
박지은 기자> 연휴 사이에 금융권에서 대규모 정보 유출 사건이 터졌습니다. 과거와는 좀 다른 게 이 정보 유출이 해킹에 의해서 된 건데 이게 AI를 활용한 해킹이다, 이런 얘기도 나오고요. 또 개인정보가 단순하게 전화번호, 내 이름 이 정도만 나온 게 아니라 대출한다, 되게 예민한 신용 정보까지 빠져나간 게 특징이라고 볼 수 있는데요. 오늘은 사이버 보안 전문가분을 모시고 왜 이런 사건이 일어났는지 그리고 앞으로 어떤 대책인지 좀 따져보도록 하겠습니다. 신승민 큐비트시큐리티 대표님 모셨습니다. 안녕하세요.
대표님 사이버 보안 관련 업계에서 되게 오랫동안 계신 걸로 아는데요. 어떤 일을 해오셨고 회사 소개도 조금 해주시죠
신승민 큐비트시큐리티 대표> 안녕하세요. 큐비트시큐리트의 대표 신승민입니다. 저는 정보보호학 박사과정을 수료했으며, 지난 10여 년 동안 큐비트시큐리티에서 외부 사이버 공격에 대응하기 위한 통합 사이버보안 플랫폼인 PLURA-XDR을 개발해 왔습니다.
큐비트시큐리티는 2014년에 설립됐으며, PLURA-XDR은 웹방화벽(WAF), 엔드포인트 탐지·대응(EDR), 통합보안이벤트관리(SIEM), 보안운영자동화(SOAR), 포렌식(Forensic) 등의 기능을 하나의 플랫폼에서 통합 제공합니다.
PLURA-XDR은 공격 흐름을 웹, 서버·PC, 로그, 자동 대응, 포렌식 데이터까지 연결해 하나의 플랫폼에서 탐지·분석·대응하는 것을 목표로 하고 있으며, 큐비트시큐리티는 지난 10여 년 동안 이 분야의 기술을 개발하고 고도화해 왔습니다.
박지은> 지금 제가 알기로는 경찰청에서도 같이 일을 하고 계신 걸로 알고 있어요. 어떤 일을 좀 했는지 말씀 부탁드려도 될까요?
신승민> 경찰청이 운영하는 사이버 테러 범죄 자문위원으로 활동하고 있습니다. 참여하시는 분은 국가수사본부에 계신 분들하고 저희 민간 자문역으로 한 10여 분에 전체 한 15명 정도 운영을 하고 있는데요. 그중에 한 분이 이번에 사이버 안보 비서관으로 발탁이 되시기도 하셨고요. 경찰청에서 주로 발표들을 해주시는데 대표적으로 피싱 범죄라든지, 또 지금 암호화폐 유출을 해서 내역들에 대해서 어떻게 검거를 했는지, 심지어 우크라이나까지 가서 범인들을 검거를 어떻게 하고 있는지 이런 것들도 저희한테 소개를 해주시고 반대로 민간에서는 현재 이루어지는 공격들에 대해서 설명해서 경찰하고 민간하고 어떻게 협력해서 이러한 사이버 테러 범죄를 대응할 수 있는지 이러한 논의를 1년에 분기마다 1번씩 4차례 진행하고 있습니다.
박지은> 그러면 이번 사건도 향후 보고를 받거나 같이 논의하게 되겠네요?
신승민> 저희가 올해 초에 미토스가 나왔을 때도 한 번 논의를 했었고요. 이번에도 당연히 이번 분기에서도 논의가 되면 이게 핵심일 거라고 보여집니다.
박지은> 은행에서는 당연히 정보보안이 더 철저해야 될 거고요. 투자를 많이 하는 걸로 알고 있습니다.이런 사건들이 더러 자주 발생하다 보니까 느끼기에는 '이미 다 털린 거 아니냐'는 생각이 들 정도로 많은 것 같은데요. 이렇게 계속해서 발생하는 이유가 어떤 게 있다고 보십니까?
신승민> 일단 그 부정적인 용어 하나는 좀 없앴으면 하는데, 대표적인 게 ‘이미 다 털렸으니까 추가적으로 뭐가 더 털릴 게 있냐’ 이런 마인드는 좀 우리가 자제를 하고요.
박지은> 그런 말을 하면 안 되는 이유가 있을까요?
신승민> 왜냐하면 앞으로도 적극적으로 대응해야 되는데, 사실 그런 말들이 회자가 되면 자포자기 형태로 바뀔 수가 있거든요. 그러니까 그런 심리적인 것들도 제거하는 것이 사실 이 업계에서 일하는 사람들 입장에서는 되게 중요한 거라, '이미 다 털렸다'가 아니라 앞으로 우리 자녀들의 데이터도 보호해야 되고 또 우리의 데이터도 계속 갱신이 되잖아요. 그러니까 그런 것도 보호하기 위해서는 적극적으로 대응해야 된다고 봅니다.
말씀하신 것처럼 은행이 다른 분야에 비해서 워낙 고급 정보를 많이 갖고 있기 때문에 보안에 훨씬 더 많은 투자를 합니다. 일반 기업들이 몇천에서 몇억을 투자한다면 당연히 은행은 수천억을 투자하는데요.
모든 투자는 중요도에 따라 투자를 하게 되죠. 과연 은행이 투자하는 전체 예산이 효과적으로 집행됐는지를 먼저 살펴봤으면 좋겠습니다. 대표적으로 우리가 정부의 가이드라인에 따라서 진행하는 게 바로 그 ISMS-P라고 하는 정부 가이드라인이 있죠.
박지은> ISMS-P요. 용어만 들어서는 조금 어려운데요. 어떤 체계인지 설명해주신다면요?
신승민> 정보보안 관리 체계고요. 어떻게 기업이나 기관이 정보보안을 관리해야 되느냐라고 하는 것을 이렇게 문서화된 형태로 모든 기관, 기업들이 준수해야 될 가이드라인처럼 되어 있는 겁니다. 영어로 하면 컴플라이언스(Compliance)라고 하죠.
작년에도 회자됐던 게 왜 ISMS-P를 받기 위해서 되게 어렵습니다. 그거를 다 받은 기업들임에도 불구하고 왜 해킹을 당하고 데이터가 유출됐느냐가 작년에 회자됐는데 사실 지금도 마찬가지죠.
그래서 아까 제가 말씀드린 것처럼 예산이 효과적으로 쓰여졌냐인데 ISMS-P가 갖고 있는 문제점은 뭐냐면 첫 번째로, ISMS-P에서 준수해야 될 항목이라는 게 있어요. 이렇게 저렇게 해야 된다라고 하는 게 전체적인 항목이 101가지나 됩니다.
박지은> 가이드라인에서 지켜야 하는 것이 101가지라는 말씀이신 거죠. 그러면 사이버 공격에 직접 대응하기 위한 항목은 몇 가지나 됩니까?
신승민> 우리가 ISMS-P라고 하면 그걸 준수하면 사이버 공격에 대해서 대응을 할 수 있다라고 생각하는데 예산은 좀 달라요. 왜냐하면 101가지 중에서 우리가 직접적으로 지금과 같은, 지금 금융권을 공격하는 또 우리나라 전체를 공격하는 이러한 공격에 대해서 대응할 수 있는 항목은 아무리 많이 뽑아봐야 10가지가 되지 않습니다.
나머지 90가지는 다 관리적인, 그러니까 관리를 위한 관리를 하는 가이드라인이 그렇게 돼버렸습니다. 금융권이 지금 진행하고 있는 그 수많은 101가지를 지키기 위한 노력에서 정말 이번과 같이 사이버 보안을 위해서 집행해야 될 거를 따지고 보면 그나마 뽑은 게 10가지고요.
더 나쁜 거는 그러면 이번에 아르텍스라고 하는 AI 공격을 막을 수 있는 제품은 그 10가지 중에 몇 가지였을까요? 거의 없는데요. 그나마 얘기를 한다면 10가지 중에서 외방화벽이라고 하는 외부로 들어오는 공격을 차단하는 제품이 있는데요. 그리고 기능이 있고 그 외방화벽이라고 하는 거 하나밖에 없습니다.
우리가 아르텍스라고 하는 AI 공격형 도구가 진행하는 게 다 웹 공격인데요. 금융권의 은행을 공격하는 것 자체가 다 또는 카드나 보험회사, 증권회사도 다 외부로 운영되잖아요. 그러니까 그렇게 공격되고 있는 것을 막을 수 있는 거는 외방화벽 하나인 거니까 ISMS-P 입장에서는 101가지 중 항목 중에서 실제로는 하나가 이 모든 공격을 탐지하고 차단해야 되는 겁니다.
박지은> 결론적으로 투자는 많이 하고 있는데 실제 공격을 막는 데 필요한 부분에는 투자가 너무 적다는 말씀이신 것 같습니다. 이번에는 AI를 활용한 해킹이 주목을 받고 있는데요. 기존 해킹과 비교했을 때 어떤 점이 달라졌습니까?
신승민> 그러면 외방화벽의 특징을 이해하시면 좋은데 외방화벽의 특징이라고 하는 건 우리가 아는 공격의 시그니처(Signature)를 탐지합니다. 공격자들이 보내는 데이터를 보고 이 안에는 내가 갖고 있는 정보하고 맞다, 틀리다를 보고 그걸 시그니처라고 부르는데요. 그래서 공격 시그니처와 비교해서 이건 공격이다, 아니다를 판단해서 차단을 하게 되는 게 외방화벽의 기본 원리예요. AI는 자기가 공격하는 거 안에 그 시그니처 같은 것들을 철저하게 제거해서 완전히 일반 사용자가 접속하는 거와 똑같은 데이터를 보냅니다.
박지은> 그러면 공격을 하는데도 그냥 일반 고객이 접속한 것처럼 보인다는 건가요? AI는 어떻게 그런 걸 숨길 수 있는 거죠?
신승민> 생각해 보시면 똑같아요. AI를 사용하시는 프롬프트를 써보셨으면 이런 거죠. 내가 어느 은행을 공격하고 싶은데 지금 시그니처 방식으로 공격하면 내가 다 탐지될 거잖아라고 프롬프트를 짜시고, 내가 공격하려고 하는 건 그렇게 악성코드적인 탐지가 될 만한 거는 좀 배제하고 공격이 가능하게끔 도구를 운영해줘라고 하면 AI가 그걸 해석하고 실제로 그렇게 공격을 하는 겁니다.
아르텍스라고 하는 전문 도구를 사용해서, 아르텍스는 LLM을 활용할 수 있는 기능이 이미 포함되어 있어요. 그래서 그 LLM을 사용하는 것에 똑같이 공격자의 프롬프트를 넣으면 되는데요.
지금 내가 해킹 공격에 작업하는 게 상대방한테 탐지되지 않도록 시간 간격도 조정해주고, 그다음에 탐지되면 조금 기다렸다가 다시 공격하고 하는 것들을 프롬프트로 다 작성을 합니다.
박지은> 그러면 AI 때문에 뚫렸다기보다는 원래 있던 빈틈을 AI가 많이 활용했다고 봐야 되는 건가요?
신승민> 그러니까 지금 제가 말씀드린 공격 방법이 이전에도 해커들이 여러 차례 많이 시험해서 실질적으로 공격이 성공을 했어요. 당시의 성공 방식, 예를 들어 작년에 성공했던 방식들은 사람들이 되게 정교하게 오랫동안 작업을 해서 진행을 하고 있다면 올 4월 미토스발 해킹 공격에 대한 우리가 따라서 가보면 지금 공격하는 건 지금처럼 말로 실제로 공격을 되게 편리하게 할 수 있는 도구도 있고 그다음에 AI를 활용하면 명확하게 훨씬 더 쉽게 공격을 진행하는 건데요.
이런 공격은 이미 출몰, 출시될 거라고 우리가 이미 4월달에 미토스 이후에 알고 있었거든요. 그러면 지난 5개월, 6개월 동안 우리가 무엇을 했냐를 다시 생각해봐야 될 거고, 여전히 말씀드릴 수 있는 건 이렇게 공격한 거를 우리는 예측을 했으니까 사실 그거에 대한 대비를 했다면 이렇게 속절없이 무너지지는 않았겠죠.
박지은> 대비할 수 있었는데 속도를 빨리 내지 못한 이유는 무엇입니까?
신승민> 첫 번째는 아까 말씀드린 대로 예산이 적절하게 분배되지 않고 있습니다. 정부는 101가지 중에 하나라도 안 했으면 감점이거든요. 기업 입장에서는 101가지를 다 맞춰야 되는 거고요. 내가 미토스 공격에 대응하기 위해서 그 예산을 늘린다면 어딘가에서는 문제가 되니까 그거를 위한 또 예산을 쓰기가 어려워져요.
미토스 공격이 어떻게 진행될 거고 그다음에 AI 공격이 어떻게 될 건지에 대한 정확한 이해도가 있으면 이렇게 101가지나 우리가 항목을 관리할 필요가 없습니다. 결론적으로 아까 설명드린 것처럼 심지어 90%를 없애도 정보보안, 사이버 보안을 운영하는 데, 이렇게 공격을 대응하는 데 할 수 있고요. 더 심각하게는 외방화벽이 뚫린다고 하는 가정을 세우고 어떻게 대응할 건지에 대한 예산만 그 시스템에 더 투자를 한다면 이 공격은 충분히 막을 수 있는 공격이죠.
박지은> 같은 공격을 받았는데도 회사별로 차이가 있습니다. 우리은행 같은 경우 공격은 있었지만 유출은 없었다고 했고 다른 금융회사들도 유출이 없었다고 밝힌 곳들이 있는데요. 왜 이런 차이가 발생하는 겁니까? 또 고객 입장에서 금융회사의 보안 수준을 알 수 있는 지표가 있을까요?
신승민> 우선 잘하는, 침해당하지 않았다는 기업의 말씀을 100% 믿고 싶고요. 그런데 하나 꼭 전제로 넘어가야 될 건 우리가 정말로 잘 막았다, 우리는 문제가 없다라고 소명을 하시려면 우리한테 들어오는 웹의 접속에 대한 내용을 100% 인-아웃(In-Out), 즉 들어오는 거와 나가는 것에 대한 100% 전수 분석이 실시간으로 늘상 이루어지는지를 사실 밝혀야 됩니다.
우리은행도 그렇고 토스뱅크도 그렇고 만약에 다른 곳도 우리는 공격받지 않았어요라고 설명하시려면 웹과 관련돼서 우리는 100% 모든 패킷이라고 부르는데요. 모든 들어오고 나가는 곳에서 100% 실시간 분석하고 그 데이터를 기반으로 우리는 설명하는 거다라고 설명을 하신다면 사실 약간의 신뢰감을 얻을 수 있으실 거고요. 만약에 그런 시스템이 없는데도 불구하고 우리는 그냥 다 막았다고 하는 것은 사실 증명할 방법이 없으니까 조금 억울하시겠지만 의심을 할 수밖에 없는 거죠.
박지은> 아까 패킷이라는 말씀을 하셨는데요. 조금 어려운 용어입니다. 어떤 건가요?
신승민> 패킷이라고 부르는 건 우리가 인터넷뱅킹을 하거나 모바일뱅킹을 하실 텐데 그렇게 접속해서 상대 쪽 웹 서버라고 하는 서버하고 통신하는 모든 것들을 주고받는 데이터를 우리는 패킷이라고 부릅니다.
박지은> 은행에는 엄청난 양의 데이터가 오갈 텐데요. 이 모든 데이터를 수집하고 저장하는 건가요?
신승민> 문제는 그렇지 않다는 거죠. 우리가 접속하고 사용될 때 상당량의 데이터는 데이터베이스 같은 데 저장되곤 하지만 실제로 우리가 보내는 요청이라고 하는 그 패킷, 또 서버가 사용자한테 보내는 응답이라고 하는 패킷, 이것을 100% 실시간 분석하거나 실시간 저장하는 은행은 아마도 거의 없거나, 현실적으로는 없다고 보는 것이 맞습니다.
박지은> 해외는 어떻습니까? 해외 금융회사들은 100% 분석하고 있나요?
신승민> 해외도 그렇지 않을 거예요. 왜냐하면 이전 사례들, 해외 캐피탈 원과 같은 해킹 사건들도 보시면 실제로 100% 다 분석했다면 좀 빨리 알 수 있었던 해킹 사건들임에도 불구하고 그렇지 않았거든요.
박지은> 현실적으로 불가능해서 못하는 건가요, 아니면 기술적으로 한계가 있는 건가요?
신승민> 우리가 지금 AI 시대를 살고 있고 그다음에 휴머노이드가 나오는 시대를 살고 있어요. 이런 시대를 보면 현재 기술적으로 전혀 어렵지 않습니다. 그러니까 이 문제의 핵심은 우리가 늘상 논의하는 예산을 어디다 투입해서 어떤 우선순위에다가 적절하게 사용할 거냐고, 이것이 과연 필요한 거냐라고 하는 것만 초점을 맞추면 이 분야에 투자해야 되는 건 명확했음에도 불구하고 여전히 정부가 지난 올해 내내 강조하고 있는 내용들을 보면 전혀 우리가 거기다 투자할 수 없게끔 만들어요.
정부가 만약에 올해 미토스발 해킹에 대한 우려가 터졌을 때 웹에 대한 전수 분석을 해야 된다, 실시간 분석을 하고 그거에 대한 데이터를 남겨야 된다라고 하는 단 한 줄의 가이드만 제공을 했어도 이 해킹 문제는 전혀 문제가 되지 않는 상황으로 우리가 막을 수 있는 겁니다.
박지은> 그런 가이드를 제시하지 않은 이유가 따로 있을까요?
신승민> 몰랐다기보다는 사실은 똑같이 이 문제도 그 위험성에 대한 중요도를 잘못 인식할 수 있다고 생각을 해요. 왜냐하면 ISMS-P 관련돼서 아무리 뒤져봐도 웹과 관련돼서 웹방화벽이 뚫릴 거기 때문에, 웹방화벽이 차단하지 못할 거기 때문에 반드시 공격이 성공할 거다. 그러므로 웹 패킷과 관련해서 실시간 전수 분석을 해야 된다라고 하는 항목이 하나라도 그 101가지 내용 어딘가에 써 있으면 사실은 이렇게 되지 않을 텐데 어디에도 없거든요.
또 하나가 정부가 올해 지금 계속 가이드로 제안하고 있는, 최근에도 금융위원회든 감독원이든 똑같은 얘기하고 있는 게 제로 트러스트인데 제로 트러스트도 들어보시면 인증과 관련된 항목들을 계속 강조를 해요. 마치 제로 트러스트는 인증 관리다라고 하는 인식을 세울 만큼요.
그런데 제로 트러스트는 7가지 항목으로 되어 있는 되게 철학적인 개념이고요. 그 안에 들어가 있는 되게 중요한 개념 중의 하나는 전체 가시성이라는 항목이 있어요. 네트워크라든지 호스트라든지 서버나 PC에 대한 가시성 항목이 있는데, 이 가시성이라는 단어를 들으면 저 같은 사람은 우리가 웹 패킷이나 서버에 대한 로그 감사를 100% 실시간 분석해야 된다라고 이해를 하게 되는데 사실은 그냥 일반 사람들이 또는 정책을 만드는 분들은 가시성이라는 단어를 들었을 때 별로 이 중요도나 위험성이나 긴급성을 인지하지 못하는 거죠. 어떻게 해야 된다라고 하는 가이드가 없어요.
박지은> 그렇다면 이번 사태를 어느 정도 예견하셨던 건가요? 이런 상황에서 AI 기반 공격이 들어오면 무너질 수밖에 없다고 보셨습니까?
신승민> 이미 우리는 작년에 SK텔레콤부터 시작을 해서 KT나 LG유플러스 같은 우리나라 최고 기업들의 통신회사들이 해킹당하는 것을 목도했습니다. 더군다나 롯데카드도 해킹됐죠. 그다음에 SGI서울보증보험도 해킹당했고요. 또 우리가 좀 많이 믿었던, 그래도 기술적으로 앞서 있던 회사라고 했던 쿠팡조차도 전 국민의 데이터를 다 해킹당할 정도로 위험성이 있었으면 사실은 기존 우리가 봐왔던 정보보안 관리 체계가 무너졌다고 생각을 하고 인식 전환을 했어야 되는데 지금 작년에 최근에 나왔던 ISMS-P의 올해 항목을 보시면 그냥 더 강화해요.
그러니까 예를 들어 작년에 90가지였으면 100가지로 늘리는 거고요. 항목을 계속 늘려나가는 거라서 그거를 받아보고 준수해야 될 기업 입장에서 아까 설명드린 것처럼 예산을 어디다 써야 되는지 내가 뭘 어떻게 해야 되는지를 잘 못하게 되는 거죠.
올 초로 돌아가면 미토스발 공격이 나왔을 때 '이거 100% 외과 관련된 공격이 시작될 거고, 그렇다면 외과 관련해서 이렇게 해야 된다'라는 말씀을 저도 신문 기고를 통해서 여러 차례, 그리고 여러 가지 아까 사이버 테러 범죄 자문회의 등 여러 곳을 통해서 또 저희가 국가보안학회라는 세미나를 통해서도 계속적으로 발표하고 설명을 드렸는데 사실 여전히 이번 금융위의 발표라든지 내용을 보면 기존 시스템에서 단 한 발짝도 더 진보된 곳이 없습니다.
박지은> 'AI로 공격했으니 AI로 막아야 한다'는 이야기도 있습니다. 실제로 가능한 얘기인가요?
신승민> 지금 AI가 우리가 독자 AI 파운데이션 모델 개발 사업(독파모)도 진행하고 있는 중이고요. 거기다 더해서 사이버 보안과 관련해서 특별한 AI도 지금 진행하고 있잖아요. 그런데 그 목표들이 앞으로 10개월 뒤예요. 그것들을 제가 보기엔 과기정통부도 독파모 위에 사이버 보안을 얹으려다 보니까 더 많은 시간들이 필요했다는 건 이해가 되는데 그럼에도 불구하고 이게 좀 실기이고 안타까운 거는 이미 미토스라고 하는 4월달에 출시가 예견된 이 아이디어 하나만으로 전 세계 모든 해커는 미토스와 같은 공격을 지난 6개월 동안 준비했단 말이에요.
그러면 내년에 무언가가 나올 게 아니라 올해 안에 반드시 터지니까 AI로 해킹을 대응할 수 있는 것들을 이미 론칭하고 보여줘야 되거든요. 그래서 앞서 질문하신 걸로 들어가면 AI 공격을 AI로 탐지하고 차단하는 기술은 이미 갖고 있습니다. 저희도 마찬가지입니다.
박지은> 결국 사람이 다 볼 수 없는 데이터를 AI가 대신 분석해서 공격을 찾아내는 방식이라고 보면 될까요? AI는 구체적으로 어떻게 공격을 찾아낼 수 있습니까?
신승민> 왜 그게 그렇게 가야만 되냐면 지금 우리 생각해 보시면 아주 작은 중소기업은 정보보안 담당자가 없기도 하고 한 명이에요. 그리고 우리나라 최고 기업들의 정보보안 담당자가 얼마일까요? 많으면 100명 또는 300명 이런 수준인데 아까 은행으로 들어오는 패킷, 그 데이터들을 생각해보면 어떤 상황이냐면 경포대에서 모래알을 세는데 한 사람이 셀 거냐, 300명이 셀 거냐예요. 그러니까 그건 차이가 없어요.
300명이라고 하는 어마어마하게 많은 정보보안 담당자들이 혹은 사이버보안 담당자들이 일을 한다 하더라도 그걸 데이터 분석하는 AI로 데이터 분석을 하는 공격하는 상황 속에서는 사실 무의미한 숫자입니다.
그러니까 우리는 이미 데이터 분석조차도 AI로 넘겨서 AI가 분석하고 그 분석된 데이터를 가지고 300명이 또는 100명이 또는 한 명이 공격을 대응할 수 있는 시스템으로 갈 수 있음에도 불구하고 그런 것들에 대해서는 계속 잘 홍보도 안 하고 외면하고 현재와 같이 AI가 마치 공격을 대응하는 건 먼 미래 일처럼 말씀들을 나누고 얘기를 한 그런 문제가 현재 있는 거죠. 이미 AI로 공격한 걸 AI로 탐지하는 건 이미 충분히 가능한 현실입니다.
박지은> 앞으로 해킹 기법은 어떻게 진화할 것으로 보십니까? 또 어떻게 막을 수 있을까요?
신승민> 우리가 생각해 보시는 피싱 공격을 생각해 보시면 좋은데 보이스피싱 같은 경우가 예전의 공격 방법하고 지금의 공격 방법은 천지 차이거든요. 현재 보이스피싱 집단들이 만들어내는 문자라든지 전화라든지 하는 모든 것들을 다 AI를 이용을 해서 하다 보니까 너무 정교하게 모든 사람들이 당할 수밖에 없는 상황이에요.
지금 말씀하시는 것도 아르텍스와 같은 걸 이용해서 공격하는 방식이 어떻게 진화할 거라고 하는 거는 우리가 공격면이라고 하는 외부로 들어오는 공격에 대해서 그게 마치 사람처럼 움직일 거라고 하는 것들은 사실 예견이 되거든요.
앞으로도 그렇게 더 훨씬 더 진화를 할 거고, 그럼 동일하게 AI가 그런 패턴들을 보고, 그런데 패턴을 보려면 말씀드린 대로 뭐부터 있어야 되냐면 전체 데이터를 수집하는 그 단 한 가지가 먼저 필요하거든요. 그것만 있다면 우리는 AI가 공격하는 것들을 AI가 충분히 패턴을 학습해서 실질적으로 탐지, 차단하는 것도 여전히 가능합니다.
박지은> 전체 데이터를 수집하고 분석하려면 비용도 상당하지 않습니까?
신승민> 추산은 기업들마다 다 천차만별일 텐데요. 아까 설명드린 것처럼 101가지를 다 하느라고 너무나 많은 공력을 쓰는 거에 비하면 훨씬 더 적은 예산입니다. 우리가 사용하는 트래픽이 작다면 당연히 그 비용도 작게 되고요. 은행처럼 크다면 여전히 은행이 쓰는 비용이 클 텐데 그건 전체 101가지를 우리가 해결하기 위해서 들어가는 비용으로 본다고 그러면 10%도 안 되는 거죠.
박지은> 큰 흐름에서도 기존 보안정책이 바뀌어야 할 필요가 있어 보입니다. 금융당국의 감독 방향은 앞으로 어떻게 가야 된다고 보십니까?
신승민> 많은 고민들을 하셔가지고 정책을 입안하시고 그리고 또 그것들이 잘 준수되는지 모니터링하고 계실 텐데 명확한 거는 결론이 난 것 같아요. 기존에 우리가 고민하셨던 방식 그리고 접근했던 방식은 실패한 겁니다. 그건 뭐라고 하더라도 지금 이뤄지고 있는 금융권 해킹이라든지, 그리고 지금은 금융권 해킹을 떠나서 어제는 사이버대학도 해킹을 당했고요. 지금 일반적인 기업, 그다음에 기관으로 모든 곳으로 공격이 확산되고 있거든요.
그러니까 지금 완전히 그 이전에 우리가 접근했던 방식은 실패했다고 보면, 다시 접근한 말씀드리면 ISMS-P 접근 방식 그리고 또 제로 트러스트적 접근 방식은 우리가 실패했다고 생각을 합니다.
그거보다 정확하게 사이버 보안이라고 하는 공격을 대응하기 위해서 우리가 어떤 것에 집중하고 대응해야 되는지에 대해서 101가지가 아니라 단 10가지 또는 단 3가지만 있어도 이 공격을 막을 수 있다라는 생각으로 좀 완전한 새로운 정책을 입안하시고 고민하셨으면 좋겠습니다.
박지은> 그렇다면 지금 당장 금융회사들이 가장 먼저 해야 할 것은 무엇이라고 보십니까?
신승민> 통계적인 데이터를 하나 말씀드리면 우리가 공격할 때의 공격의 포인트의 시작점은 80%가 웹에서 시작을 합니다. 여전히 금융권은 아시는 것처럼 거의 대부분이, 거의 100% 가까운 시스템이 외부로 운영이 되죠. 그러면 웹 공격이에요. 아까 제가 말씀드린 것처럼 수많은 공격이 정보보안에서도 수많은 공격을 대응하기 위해서 그 많은 항목이 있는 건데 그럼 우리는 일단 80%를 집중할 수 있어요.
그리고 특히 은행은 우리는 다 100%니까 웹에 집중하실 수 있거든요. 은행이 지금 바로 시작해야 할 것은 웹 패킷에 대한 전체를 실시간으로 수집하고 분석하는 것만 하실 수 있다면, 그리고 거기다가 AI로 분석할 수 있는 기능만 추가한다면 사실 되게 빠른 시간 안에, 예를 들어 며칠 안에라도 지금의 공격 형태는 완벽하게 대응하실 수 있습니다.
박지은> 공격을 하는 해커 집단들은 어떤 이득을 위해 이런 공격을 하는 겁니까? 직접 피싱에 활용하는 건가요, 아니면 정보를 판매하는 건가요?
신승민> 해킹 그룹들도 업무가 다 분업화되어 있어서 이렇게 공격해서 데이터를 가져가는 해킹 그룹이 있고요. 그리고 그걸 이용을 해서 제2차, 3차 피싱 사이트, 피싱을 전문적으로 하는 그러한 해커 그룹들이 그거를 피싱에 활용하기도 하죠.
그리고 데이터를 이렇게 뺏어간 사람 입장에선 하나의 해킹 그룹에 팔지 않거든요. 피싱 그룹들도 수십, 수백 개가 있으니까 그렇게 나눠서 팔면 하나의 가치가, 이번에 티빙 사건 때문에 중국에서 거래되는 거 한번 들어보셨겠지만 하나의 정확한 금융권의 데이터는 심지어 1만원까지도 합니다.
티빙의 아이디는 이번에 신문상에서 밝혀진 걸 보면 900원에 거래됐다고 하는데 이렇게 되는 거죠. 내가 900원짜리 아이디에 유출당한 게 몇천만 명이면 몇천만 명으로 금액이 되고요.
그걸 하나의 해킹 그룹에 파는 게 아니라 그걸 조직적으로 이용을 10개, 100개에 나눠서 팔면 그걸 해킹을 성공한 해킹 그룹은 어마어마한 수익을 얻게 됩니다. 그래서 금융권을 공격하고 하는 건 말씀드린 대로 가치가 월등히 올라갑니다. 만약에 내가 대출을 진행 중인 분이라면 100% 피싱 해킹에 당할 수밖에 없거든요.
박지은> 금융정보가 있으면 피싱이 훨씬 정교해질 수 있다는 말씀이신가요?
신승민> 우리가 정상적으로 거래를 하고 있는데 상대방은 제 데이터를 또 팝니다. 우리는 지금 정상적으로 대출을 일으키려고 대출 모집인을 통해 가지고 소개를 받아서 작업을 하고 있어요. 그런데 그걸 받으신 분은 저분하고 나하고 지금 대출을 일으키는 중이잖아요. 그 데이터를 또 동시에 팔아요.
그러면 일단 나하고 거래가 끝난 다음에 바로 이어서 정보가 또 오죠. 2차 대출이 가능하시다고, 3차 대출이 가능하다고. 그래서 마치 그냥 이어서 보면 그 캐피탈이 또 그 은행이 또는 누군가가 나를 소개시켜줬나라고 하면서 2차, 3차로 이어질 거라고 생각하시는데 전부 다 피싱 공격이었고 그렇기 때문에 이런 금융권에 대한 정보가 되게 비싼 가격에 팔리는 거네요.
박지은> 금융권뿐 아니라 일반 기업이나 공공기관도 공격받고 있습니다. 이런 곳을 공격하는 이유도 따로 있습니까?
신승민> 기본적으로는 이번에 한국수력원자력 등도 포함이 되어 있어서 그 데이터들이 노출되고 있는 상황들이잖아요. 일단 기본적으로 정보를 수집하는 게 있고 또 이게 기관별로도 되게 유명한 기관들, 한전이나 한수원 같은 기관은 워낙 고급스러운 기관이기 때문에 이런 기관들의 임직원 정보는 사실은 고가죠. 그런 것도 고가로 판매가 된다고 보면 되는 거고요.
박지은> 일반인 입장에서는 금융회사의 보안 수준을 직접 확인하기가 쉽지 않습니다. 어떤 점을 봐야 합니까?
신승민> 바라는 거하고 같이 섞어서 말씀드리면 지금 우리나라 금융 시스템 자체가 또는 어떤 기업들에 대한 평가가 회계 시스템 구조로 진행이 되잖아요. 어떤 기업이 재무적으로 건전한지 또는 버는 거하고 쓰는 게 어떤지에 대한 회계적인 기준은 잘 갖추고 있는데 실제로 해킹 한 번의 사건으로 기업의 존망이 걸리기도 하는 사건이잖아요.
그런 상황을 보면 사실은 회계 기준만큼 중요한 게 과연 그 기업은 사이버 보안에 대해서 어떻게 운영되고 있고 어떻게 관리되고 있는지 철저하게 증명하고 보여줄 수 있어야 된다고 생각을 합니다.
그런데 그걸 지금까지는 ISMS-P라는 기준으로 우리 기업이 이렇게 정보보안을 하고 있어요라고 설명했지만 이미 우리가 논의된 것처럼 지난 작년과 올해만 보더라도 이미 ISMS-P를 갖췄다 하더라도 해킹에 대응하지 못한다는 걸 여실히 보여주고 있기 때문에 지금 기업 입장에선 ISMS-P에 기댈 것이 아니고 특히 기업의 대표님들은 ISMS-P를 우리 기업이 받았다는 것에 멈춰 있는 게 아니라 실질적으로 거의 매주 우리 정보보안 부서를 미팅의 최우선순위로 잡으시고 우리가 어떻게 전체 시스템에 대해서 실시간으로 데이터를 보고 있는지 봐야 합니다.
AI를 준비하는 시대라고 하는 거는 기본이 하나 있어요. 피지컬 AI도 마찬가지고요. 데이터가 있어야 됩니다. 데이터가 없는 AI는 사실 무용지물이거든요. 사이버 보안도 동일한데 우리가 정말 전체 웹 패킷에 대한 또는 서버나 운영체제에 대한 온전한 전체 로그에 대한 것이 갖추고 있는지를 보시고 그것들을 우리가 실시간으로 분석하고 이 중에 데이터들을 AI가 분석해서 우리 기업이, 우리 기관이 건전하게 운영되고 있는 상태인지를 사실 살펴보시면 됩니다. 첫 번째는 모든 데이터를 보고 있느냐는 것을 한 번 더 체크하셨으면 좋겠습니다.
박지은> 마지막으로 하실 말씀이 있으시다면요?
신승민> 지금 우리가 공격을 이렇게 받고 있고요. 지난 목요일부터 신한은행부터 시작한 이 공격을 잘 생각해 보시면 정부가 훨씬 더 적극, 사실은 좀 빨리 행동을 하셨으면 좋겠어요. 예를 들어 오늘 뉴스만 하더라도 뭐 공격자의 IP가 10개다, 28개다 막 이렇게 사실은 정확한 정보들이 아닌 게 계속 나오고요. 공격자의 IP는 1차적으로 우리 회사가, 우리 기업이 공격을 받았다 안 받았다를 검사할 수 있는 되게 기초적인 자료 중의 하나거든요.
이러한 정보가 과기정통부가 운영하고 있는 C-TAS를 통해서 훨씬 더 빠르게 늘상 업데이트가 되는 게 필요한데 지금 업데이트가 좀 느린 것 같아요. 그리고 신속하게 정보들을 취합하는 것도 금융위원회나 과학기술정통부가 약간 나눠져 있어서 정보가 제대로 운영되지 않는 면도 좀 보이는 것 같아서, 이런 상황에서는 정부가 다시 한번 전체 시스템의 프로세스가 금융위에 금융권에서 발생을 했던, 아니면 민간에서 또는 공공에서 했던 이 정도의 공격이면 서둘러서 우리가 IOC라고 하는데요. IP 주소나 공격 패턴이나 이런 것들을 조금 더 신속하게 업데이트해서 전파가 되면 사실 막는 사람 입장에서는 훨씬 더 수월하고 적극적으로 대응할 수 있습니다.
그리고 저희가 마무리 말씀을 드리는 것처럼 AI 공격은 이미 시작된 거고요. 되돌릴 수 없는 상태로 이미 우리가 경험하고 있는 중이고 이 공격은 훨씬 더 공격이 더 진화될 거예요. 그렇기 때문에 우리는 AI로 대응하는 걸 내년으로 미룰 것이 아니라 지금 당장 어떻게 AI로 대응할 건지에 대해서 훨씬 더 깊은 고민과 그리고 정책적인 변화 그리고 그 방안들에 대해서 설명해 주고 그것들을 기업들이 정말 충실히 잘 쓸 수 있도록 훨씬 더 명확한 설명을 제공해 주면 좋겠습니다.
